Privacyverklaring – Website

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens in de zin van de Algemene verordening gegevensbescherming (AVG) en overige bepalingen inzake gegevensbescherming is:

Aliru GmbH
Julius-Hatry-Straße 1
68163 Mannheim
Duitsland

Directeur: Julian Kissel
Telefoon: +49 621 49088670
E-mail: datenschutz@deepscript.com

Wij exploiteren de transcriptiedienst onder het merk DeepScript (hierna ook „de dienst" of „het platform"). Deze privacyverklaring geldt voor de websitedeepscript.com (inclusief alle subdomeinen) en de bijbehorende interfaces (REST-API, MCP-server).

2. Functionaris voor gegevensbescherming

Wij zijn momenteel niet wettelijk verplicht een functionaris voor gegevensbescherming aan te stellen (art. 37 AVG juncto § 38 BDSG). Voor alle vragen over gegevensbescherming kunt u contact opnemen met: datenschutz@deepscript.com.

3. Algemene grondbeginselen

Persoonsgegevens zijn alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (art. 4 lid 1 AVG). Wij verwerken uw gegevens uitsluitend op basis van de wettelijke bepalingen (AVG, BDSG, TDDDG). In deze verklaring informeren wij u over de aard, omvang en het doel van de verwerking in het kader van ons aanbod.

De voor de verwerking gehanteerde rechtsgrondslagen zijn met name:

• Art. 6 lid 1 sub a AVG – toestemming (bijv. uitdrukkelijke afstand van het herroepingsrecht bij het Pro-abonnement).
• Art. 6 lid 1 sub b AVG – uitvoering van een overeenkomst en precontractuele maatregelen (aanmaken van een account, transcriptie, facturering).
• Art. 6 lid 1 sub c AVG – wettelijke verplichting (met name handels- en fiscaalrechtelijke bewaarplichten op grond van § 257 HGB, § 147 AO).
• Art. 6 lid 1 sub f AVG – gerechtvaardigd belang (beveiliging, misbruikpreventie, serverlogs, auditlogs).

4. Verwerking bij het oproepen van de website (serverlogs)

Bij het oproepen van deepscript.com verzamelt onze reverse proxy (Caddy) automatisch de volgende informatie die de browser van uw apparaat verzendt:

• IP-adres (ingekort of gepseudonimiseerd)
• Datum en tijd van toegang (UTC)
• Opgevraagde URL / HTTP-methode / responsstatuscode
• Referrer-URL (indien de browser er een verzendt)
• User-agent-identificatie (browser- en besturingssysteemtype)

Deze gegevens worden maximaal 14 dagen bewaard voor beveiligings- en stabiliteitsdoeleinden (detectie en afweer van aanvallen, foutanalyse) en daarna automatisch verwijderd. Er vindt geen samenvoeging met andere gegevensbronnen en geen profilering plaats.

Rechtsgrondslag: art. 6 lid 1 sub f AVG – gerechtvaardigd belang bij een veilige en stabiele werking.

5. Registratie en account

Voor het gebruik van de dienst (na de eerste drie gratis transcripties) is het aanmaken van een account vereist. Wij verwerken:

• Naam (vrij te kiezen / weergavenaam)
• E-mailadres (geverifieerd)
• Wachtwoord (uitsluitend opgeslagen als bcrypt-hash, nooit in platte tekst)
• Optioneel: bedrijfsnaam, factuuradres, btw-nummer (voor B2B-facturen)
• Bij ingeschakelde tweefactorauthenticatie: versleuteld TOTP-secret + versleutelde back-upcodes
• Taalinstelling, gewenste weergave (thema), instelling voor gegevensbewaring

Rechtsgrondslag: art. 6 lid 1 sub b AVG – uitvoering van een overeenkomst. Zonder deze gegevens kunnen wij u geen toegang tot de dienst verlenen.

Bewaartermijn: tot u het account verwijdert. U kunt uw account op elk moment in de instellingen verwijderen – alle bijbehorende gegevens (behalve de hierna genoemde wettelijk te bewaren boekhoudkundige bescheiden) worden dan onmiddellijk en volledig verwijderd.

6. Inloggen via externe aanbieders (OAuth)

Optioneel kunt u inloggen via de OAuth-procedures van Google of Microsoft. In dat geval worden alleen de voor het aanmaken van het account benodigde profielgegevens (naam, e-mailadres, profielfoto-URL) doorgegeven. Wij krijgen geen toegang tot overige inhoud van uw Google- of Microsoft-account.

De betreffende OAuth-aanbieder (Google Ireland Limited resp. Microsoft Ireland Operations Limited) is voor de verwerking in het kader van de inlogprocedure zelfstandig verwerkingsverantwoordelijke in de zin van de AVG. De privacyverklaringen vindt u op:

• Google
• Microsoft

Rechtsgrondslag: art. 6 lid 1 sub b AVG.

7. Audio-/video-uploads en transcripties

De kern van onze dienst is het omzetten van audio- of videobestanden in tekst. Daarbij verwerken wij:

• Het geüploade bestand (audio/video)
• Metadata (bestandsnaam, grootte, duur, MIME-type, gekozen model, gekozen taal)
• Het transcriptieresultaat (tekst, woordtijdstempels, sprekertoewijzing, gedetecteerde taal)
• Optioneel door u opgeslagen aangepast vocabulaire

De verwerking verloopt volledig op onze eigen serverinfrastructuur bij Hetzner Online GmbH in Duitsland. Het audio-/videobestand wordt op geen enkel moment doorgegeven aan externe spraakverwerkingsdiensten (bijv. OpenAI, Google, AWS).

Bewaartermijn: Zonder actief Pro-abonnement verwijderen wij transcripties en de onderliggende audiobestanden automatisch 30 dagen na het aanmaken. Met een Pro-abonnement bewaren wij de gegevens permanent tot uw opzegging of uitdrukkelijke verwijdering. U kunt elke transcriptie op elk moment handmatig verwijderen.

Geen gebruik voor AI-training: Wij gebruiken uw audio-/videogegevens en de transcripties nooit om onze modellen of die van derden te trainen of te verbeteren. De verwerking vindt uitsluitend plaats voor het doel van de contractueel overeengekomen transcriptiedienst.

Rechtsgrondslag: art. 6 lid 1 sub b AVG. Voor zakelijke klanten die persoonsgegevens van derden laten verwerken (bijv. opnames van interviews), sluiten wij op verzoek een verwerkersovereenkomst conform art. 28 AVG; zie Trust Center.

8. Gratis tool / gasttranscripties

Onder /free-transcription bieden wij een gratis transcriptiemogelijkheid zonder registratie. Daarbij wordt in uw browser een anoniem sessietoken (willekeurige tekenreeks) als HttpOnly-cookie geplaatst om u toegang tot het resultaat te geven tot de voltooiing.

Er worden geen persoonsgegevens van u verzameld. Bestand en resultaat worden automatisch na 24 uur verwijderd, tenzij u tussentijds een account aanmaakt en de transcriptie aan uw account koppelt.

Rechtsgrondslag: art. 6 lid 1 sub b AVG (precontractuele maatregel).

9. Betalingsverwerking (Stripe)

Voor de afhandeling van saldo-opwaarderingen (pay-per-use) en het Pro-abonnement maken wij gebruik van de dienstverlener Stripe. Bij het oproepen van de Stripe-checkoutpagina of het klantenportaal wordt u naar een eigen interface van Stripe omgeleid; betalingsgegevens (kaart-, bank-, walletgegevens) voert u uitsluitend rechtstreeks bij Stripe in en worden op geen enkel moment aan ons doorgegeven of door ons opgeslagen.

Wij ontvangen van Stripe de volgende informatie terug:

• Stripe-klant-ID (pseudoniem)
• Status van de betaling / het abonnement
• Factuuradres + eventueel btw-nummer (indien opgegeven bij checkout)
• Bij het Pro-abonnement: contractbegin, volgende factureringsdatum, opzeggingsstatus

De Stripe-aanbieder in de EU is Stripe Payments Europe Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Ierland. Stripe is voor de betalingsverwerking een zelfstandig verwerkingsverantwoordelijke; de privacyverklaring vindt u op stripe.com/de/privacy. Een gegevensoverdracht naar de VS vindt plaats in het kader van afzonderlijke betalingstransacties op basis van Stripe's certificering onder het EU-US Data Privacy Framework alsmede op basis van de EU-modelcontractbepalingen.

Rechtsgrondslag: art. 6 lid 1 sub b AVG (uitvoering van een overeenkomst) alsmede art. 6 lid 1 sub c AVG (bewaring van factuurbescheiden op grond van § 147 AO, 10 jaar).

10. E-mailverzending

Voor transactionele e-mails (registratiebevestiging, wachtwoordherstel, meldingen, facturen) maken wij gebruik van Microsoft Graph van Microsoft Ireland Operations Limited (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ierland) via een gedeelde mailboxtoegang. De e-mails worden verzonden via Microsoft 365-infrastructuur in de EU.

Rechtsgrondslag: art. 6 lid 1 sub b AVG (uitvoering van een overeenkomst) resp. art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij een correcte verzending).

11. Supporttickets

Wanneer u een supportticket opent, verwerken wij het onderwerp, de beschrijving, de categorie, de prioriteit, eventueel de verwijzing naar een transcriptie en het daaropvolgende berichtverloop. De gegevens worden uitsluitend gebruikt voor de afhandeling van uw verzoek en blijven aan het account gekoppeld totdat u het ticket of het account verwijdert.

Rechtsgrondslag: art. 6 lid 1 sub b AVG.

12. Beveiligings-/auditlog

Beveiligingsrelevante gebeurtenissen in uw account (inloggen, uitloggen, wijziging van de 2FA-configuratie, aanmaken/intrekken van API-sleutels, gegevensexports, accountverwijdering) registreren wij samen met IP-adres en user-agent. Deze logs dienen uitsluitend de traceerbaarheid van accounttoegang en kunnen door u op elk moment in de instellingen worden ingezien.

Rechtsgrondslag: art. 6 lid 1 sub f AVG – gerechtvaardigd belang bij de traceerbaarheid en beveiliging van accounttoegang.

13. Cookies en vergelijkbare technologieën

Wij gebruiken uitsluitend technisch noodzakelijke cookies resp. local-storage-vermeldingen:

Wij plaatsen geen marketing- of profileringscookies en gebruiken geen Meta Pixel, Hotjar, Mixpanel e.d. Voor de hierboven genoemde cookies is toestemming in de zin van § 25 lid 2 TDDDG niet vereist, omdat zij technisch noodzakelijk zijn.

Optioneel – Google Tag Manager / Google Analytics 4

Op deepscript.com (productieomgeving) zetten wij na uw uitdrukkelijke toestemming de Google Tag Manager (container-IDGTM-WJVPJMDT) in. De Tag Manager laadt Google Analytics 4 (GA4) om het gebruik geanonimiseerd te analyseren (paginaweergaven, klikpaden, technische stabiliteit). Activering vindt uitsluitend plaats na een klik op „Accepteren" in de cookiebanner. Daarvoor vindt geen verbinding met Google plaats.

Bij het accepteren worden de volgende cookies door Google geplaatst (voorbeelden; de exacte lijst hangt af van de in de Tag Manager actieve tags):

• _ga, _ga_* – pseudonieme apparaat-ID, bewaartermijn 24 maanden
• _gid – pseudonieme sessie-ID, bewaartermijn 24 uur
• _gat – beperkt de aanvraagsnelheid richting Google-servers, bewaartermijn 1 minuut

Rechtsgrondslag: art. 6 lid 1 sub a AVG (toestemming) juncto § 25 lid 1 TDDDG. Ontvanger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland (EU-contractpartner); subsidiaire gegevensoverdracht aan Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, VS. Grondslag van de doorgifte naar een derde land: modelcontractbepalingen op grond van art. 46 lid 2 sub c AVG alsmede Google's certificering onder het EU-US Data Privacy Framework.

Intrekking van de toestemming: op elk moment mogelijk via de link „Cookie-instellingen" in de footer. Na intrekking worden geen nieuwe datapunten meer aan Google overgedragen; gegevens die in de lopende browsersessie al bij Google zijn verzameld, blijven onderworpen aan Google's eigen bewaarbeleid (standaard: 14 maanden). Opdev.deepscript.com is Google Tag Manager in het geheel niet actief – de container wordt in het buildproces bewust niet ingebed.

14. Marketingattributie en conversiemeting

Om de effectiviteit van onze eigen betaalde marketingkanalen (met name Google Ads) te kunnen meten, registreren wij bij het oproepen van de marketingwebsite bepaalde URL-parameters die advertentieplatforms aan ons meegeven, alsmede de verwijzing (referrer). Hierbij vindt geen communicatie met Google of andere advertentieplatforms plaats – wij lezen uitsluitend de meegezonden waarden uit en slaan deze op in uw browser (local storage).

De volgende parameters worden geregistreerd, voor zover aanwezig in de opgevraagde URL:

• Google Ads: gclid, gad_source, gbraid, wbraid (klik-ID's)
• UTM-parameters (campagnemarkering): utm_source, utm_medium, utm_campaign, utm_term, utm_content
• Andere advertentienetwerken: msclkid (Microsoft Ads), fbclid (Meta), ttclid (TikTok), li_fat_id (LinkedIn)
• Context: referrer (vorige pagina), landingspagina, user-agent (browseridentificatie)

Opslaglocatie: aanvankelijk uitsluitend in de local storage van uw browser (sleutelds_attribution_v1, bewaartermijn 30 dagen rollend). Er worden geen cookies geplaatst. Mocht u na deze periode een account aanmaken, dan wordt de inhoud eenmalig in onze database overgenomen en aan uw account gekoppeld (tabel UserAttribution).

Handmatige conversie-upload naar Google Ads: Voor het meten van marketingsucces uploaden wij periodiek (op week- tot maandbasis) een CSV-bestand naar de Google Ads-interface met de volgende velden: conversienaam, conversietijdstip (UTC), conversiewaarde in €, klik-ID (gclid), SHA-256-hash van het e-mailadres. De e-mailhash stelt Google in staat tot een anonieme matching met de bijbehorende klik („Enhanced Conversions for Leads"). Google ontvangt het onversleutelde e-mailadres niet. Deze upload wordt handmatig door ons marketingteam uitgevoerd en niet automatisch door uw browser.

Rechtsgrondslag: art. 6 lid 1 sub f AVG – gerechtvaardigd belang bij de economische sturing van onze eigen betaalde marketingkanalen. De gegevens worden niet gebruikt voor profilering, retargeting of het tonen van advertenties.

Recht van bezwaar: U kunt te allen tijde vormvrij bezwaar maken tegen de verwerking per e-mail aan datenschutz@deepscript.com. Op verzoek verwijderen wij de aan uw account gekoppelde attributiegegevens en sluiten wij u uit van toekomstige CSV-uploads. De lokale opslag in uw browser kunt u zelf op elk moment verwijderen via de browserinstellingen → „Gegevens van deze website wissen".

15. Overzicht van verwerkers

De volgende dienstverleners verwerken in onze opdracht persoonsgegevens op basis van een verwerkersovereenkomst (art. 28 AVG). Een steeds actuele lijst vindt u ook in het Trust Center.

16. Gegevensoverdracht naar derde landen

Uw gegevens worden in beginsel uitsluitend binnen de Europese Unie verwerkt. Een overdracht naar de VS vindt in de volgende twee gevallen plaats:

• Betalingsverwerking via Stripe (altijd, uitvoering van een overeenkomst) – grondslag: Stripe's certificering onder het EU-US Data Privacy Framework alsmede aanvullend de EU-modelcontractbepalingen op grond van art. 46 lid 2 sub c AVG.
• Bereikmeting via Google Tag Manager / GA4 – uitsluitend na uw uitdrukkelijke toestemming (art. 6 lid 1 sub a AVG). Grondslag: Google's DPF-certificering + SCC's. Zonder een klik op „Accepteren" in de cookiebanner vindt geen overdracht plaats.

17. Opslag- en bewaartermijnen

• Account-stamgegevens: tot u het account verwijdert
• Transcripties + audiobestanden zonder Pro-abonnement: 30 dagen, daarna automatische verwijdering
• Transcripties + audiobestanden met Pro-abonnement: tot handmatige verwijdering of accountverwijdering
• Serverlogs: 14 dagen
• Auditlogs: 12 maanden
• Factuur- en boekhoudbescheiden: 10 jaar (§ 147 AO, § 257 HGB)
• Gasttranscripties (gratis tool zonder account): 24 uur

18. Uw rechten op grond van de AVG

• Art. 15 – Recht op inzage: welke gegevens wij over u verwerken.
• Art. 16 – Rectificatie: correctie van onjuiste of onvolledige gegevens.
• Art. 17 – Wissing („recht op vergetelheid"). U kunt uw account met alle bijbehorende gegevens op elk moment in de instellingen verwijderen.
• Art. 18 – Beperking van de verwerking.
• Art. 20 – Gegevensoverdraagbaarheid: een volledige JSON-export van uw gegevens is op elk moment beschikbaar in de instellingen.
• Art. 21 – Bezwaar tegen verwerkingen op basis van gerechtvaardigde belangen.
• Art. 7 lid 3 – Intrekking van verleende toestemmingen met werking voor de toekomst.
• Art. 77 – Klacht bij een toezichthoudende autoriteit.

Voor de uitoefening van uw rechten volstaat een vormvrije e-mail aan datenschutz@deepscript.com. Wij reageren binnen de wettelijke termijn van één maand (art. 12 lid 3 AVG).

19. Toezichthoudende autoriteit

U hebt het recht een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming naar uw keuze. De voor Aliru GmbH territoriaal bevoegde autoriteit is:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Telefoon: +49 711 615541-0
Web: baden-wuerttemberg.datenschutz.de

20. Geautomatiseerde besluitvorming

Wij maken geen gebruik van geautomatiseerde procedures in de zin van art. 22 AVG die ten aanzien van u rechtsgevolgen hebben of u op vergelijkbare wijze aanzienlijk treffen.

21. Wijzigingen van deze privacyverklaring

Wij passen deze privacyverklaring aan wanneer de technische of juridische randvoorwaarden veranderen. De telkens actuele versie is op deze URL beschikbaar. Bij wezenlijke wijzigingen informeren wij actieve gebruikers per e-mail.

22. Verwerking in opdracht voor zakelijke klanten

Zakelijke klanten die onder eigen verantwoordelijkheid persoonsgegevens van derden (bijv. medewerkers, interviewpartners) ter transcriptie doorgeven, sluiten met ons een verwerkersovereenkomst conform art. 28 AVG. De verwerkersovereenkomst kan digitaal worden ondertekend in het Trust Center.